Dove finiscono i dati della tua app per la salute

Le tue misurazioni stanno in uno di due posti: soltanto sul telefono, oppure su un server di chi ha scritto l’app. Niente in un diario della pressione o del sonno ha bisogno del secondo. Un anno di misurazioni sono pochi kilobyte e l’aritmetica è una media, quindi un’app che insiste per avere un account ha fatto una scelta, non ha subito un vincolo. Entrambi gli store obbligano gli sviluppatori a dichiarare quale delle due sia, e la dichiarazione sta sulla pagina della scheda.

Quei moduli li compiliamo anche noi per una nostra app per la salute, quindi quello che segue descrive scartoffie che abbiamo davvero inviato, non un’ipotesi su come vadano.

Perché «serve un account» è la spia

Chiediti a che cosa serva il server. Ci sono risposte oneste: la sincronizzazione fra dispositivi, una vista condivisa con il medico, un backup da ripristinare dopo aver perso il telefono. Ognuna è una funzione vera, e ognuna è facoltativa.

Conservare i dati non è una risposta onesta. Un telefono tiene elenchi di numeri da solo da quindici anni. Quindi, quando un diario pretende un account prima di registrare anche una sola misurazione, l’account è lì per qualche altro scopo, e quello scopo di solito è una scheda utente che sopravvive al tuo interesse per l’app.

Come si leggono le dichiarazioni

Google Play — Sicurezza dei dati. Una scheda sulla pagina, sopra le recensioni. Tre cose da leggere, in quest’ordine:

• Dati raccolti contro dati condivisi. Raccolti vuol dire che lasciano il dispositivo per andare allo sviluppatore; condivisi vuol dire che proseguono verso una terza parte. Quello grave è il secondo.
• Se compare del tutto la voce salute e fitness. È una categoria a sé, quindi non si può nascondere dentro un’intestazione più vaga.
• «I dati non possono essere eliminati» scritto nero su bianco. Se i dati vengono raccolti e non esiste una strada per chiederne la cancellazione, quella combinazione va presa sul serio.

App Store — Privacy dell’app. La stessa idea, in tre contenitori:

• Dati usati per tracciarti: il segnale più forte della pagina. Per un’app per la salute dovrebbe essere vuoto.
• Dati collegati a te: raccolti e legati alla tua identità.
• Dati non collegati a te: raccolti ma non legati a te. I rapporti sui crash e i conteggi d’uso aggregati stanno di solito qui, legittimamente.

Sono autodichiarazioni entrambe, verificate a campione e non ispezionate. Qualcosa valgono comunque, perché una dichiarazione falsa è una violazione delle policy con conseguenze vere. Ma leggile come un’affermazione che qualcuno ha firmato, non come un fatto che qualcuno ha verificato. La prova della modalità aereo è la metà che puoi controllare tu.

Quello da guardare non è la lunghezza dell’elenco. È se la categoria che ti interessa compare, e se qualcosa dice condiviso invece di raccolto.

Le leggi sulla privacy sanitaria probabilmente non si applicano

La cosa sorprende, quindi conviene dirla chiaramente. Le norme scritte per le cartelle cliniche, l’HIPAA negli Stati Uniti e i suoi equivalenti altrove, riguardano chi eroga assistenza sanitaria e le aziende che trattano dati per loro conto. Non riguardano un’app che hai trovato in uno store e installato da solo.

Quello che si applica sono invece la normativa generale sulla protezione dei dati e le policy dello store. Entrambe sono sensibilmente più deboli del regime sanitario sotto cui quasi tutti danno per scontato di trovarsi. In pratica vuol dire che la tua tutela viene da come l’app è stata costruita, non da un corpo di leggi fuori dal quale l’app si trova.

Sincronizzare con Salute o con Fit è tutta un’altra cosa

«Sincronizzare» viene usato per due comportamenti che non c’entrano niente l’uno con l’altro.

Scrivere in Salute di Apple o in Google Fit mette i dati in un archivio sul tuo dispositivo, che altre app possono leggere una volta che lo permetti tu. Lo sviluppatore non ne vede niente. È il tipo buono, e vale la pena averlo, perché è ciò che permette a una misurazione di comparire accanto a tutto il resto che il telefono sa.

Sincronizzare con il cloud di un’azienda li manda sui loro server. È perfettamente legittimo se hai chiesto tu un backup. Ma vuol dire una cosa completamente diversa.

Quando una scheda dice «si sincronizza» senza dire con che cosa, è quella la domanda a cui rispondere prima di digitare qualsiasi cosa.

Che cosa facciamo noi

Blood Pressure Diary tiene le misurazioni sul dispositivo. Non c’è accesso e non c’è niente da creare, e l’app intera funziona con il telefono in modalità aereo. Quest’ultima parte è la versione della promessa che puoi verificare tu stesso in un minuto.

La sua dichiarazione sulla sicurezza dei dati è quella della domanda qui sopra: cronologia degli acquisti, log dei crash, interazioni con l’app e un identificativo del dispositivo, tutti raccolti e nessuno condiviso, senza creazione di account e con una strada per chiedere la cancellazione. I dati di salute e fitness non sono dichiarati, perché non ne viene raccolto nessuno. È tutto l’elenco, e sta sulla scheda di Play invece che soltanto in questo paragrafo.

Somnia non ha niente da mandare: i quindici loop audio viaggiano dentro il download e una miscela è un’impostazione locale.

Nessuna delle due condivide niente con terze parti, e niente viene incrociato fra le nostre app. Non esiste nemmeno un identificativo condiviso che ci permetterebbe di incrociarlo. L’enunciato più ampio di quello che affermiamo e di quello che non affermeremo mai sta nella pagina Chi siamo.

Se stai mettendo insieme le misurazioni per una visita, un diario della pressione che il medico riesce davvero a usare racconta che cosa annotare e come presentarlo, e come mescolare i suoni per dormire e coprire il rumore fa lo stesso per Somnia. Il resto di quello che facciamo per il monitoraggio e per il sonno è nella pagina Salute e sonno.